Si vous n’avez jamais entendu parler de Log4j, c’est bien normal. Il s’agit d’un programme très utilisé par les logiciels et applications web, mais qui reste inconnu pour le grand public. C’est dans ce programme qu’une faille de sécurité a été détectée. Elle pourrait poser problème pendant plusieurs mois.

Log4j est un logiciel développé et maintenue par la Fondation Apache, qui fait elle-même appel à des bénévoles pour travailler sur ses projets. C’est ce côté open source qui plaît et qui fait que tant de monde l’utilise pour développer ses propres applications.

Une librairie de Java est compromise par une faille de sécurité importante

C’est le 9 décembre qu’une nouvelle faille est détectée et a l’effet d’un tsunami dans les milieux spécialisés. Elle s’appelle CVE-2021-44228, mais on l’appelle également Log4Shell. En termes de risque, cette faille a reçu la note la plus élevée de 10.

L’exploitation de cette faille est très facile, ce qui la rend dangereuse. D’autant plus qu’elle permet de récupérer des données potentiellement sensibles. Pour faire simple, une seule ligne de code est nécessaire pour rediriger la connexion vers le serveur de son choix  via JNDI (celui du hacker). Ce dernier peut alors récupérer et exécuter ces ressources. L’un des exemples les plus médiatisés est celui de Minecraft. Il suffisait de taper la ligne de code dans le chat du jeu pour avoir accès au serveur du jeu, mais également aux ordinateurs de tous les joueurs connectés à ce serveur.

A lire également :  EA explique son principe du Dual Entitlement

Pierre

Pierre est rédacteur depuis de nombreuses années. Très orienté dernières technologies, avec un petit côté geek parfaitement adapté au Gros Blog, il nous fait profiter de sa plume pour nous tenir informé des dernières actualités High-Tech. Merci Pierre ! :)